整理的安全测试资料(三)

上一篇 / 下一篇  2011-03-07 10:29:26 / 个人分类:安全测试

-----------------------------------------------------------------------------
安全测试网站
http://www.51testing.com/?uid-57698-action-spacelist-type-bbs-view-myfav
----------------------------------------------------------------------------

1、输入特殊字符串:null,NULL、&nbsp /javascript/<script>.</script>/<title>
/<html>/<td>

2,输入脚本函数:<script>alter("abc")</script>/documrnt.write("abc")、<b>helluo</b>


安全性测试

 (1)SQL注入

  (2)XSS跨网站脚本攻击:程序或数据库没有对一些特殊字符进行过滤或处理,导致用户

  所输入的一些破坏性的脚本语句能够直接写进数据库中,浏览器会直接执行这些脚本语句,破坏网站的正常显示,或网站用户的信息被盗,构造脚本语句时,要保证脚本的完整性。

  document.write("abc")

  <script>alter("abc")</script>

  (3)URL地址后面随便输入一些符号

  (4)验证码更新问题

  以上就是对Web测试的一个总结,相信一定还存在某些的遗漏,欢迎大家指正、补充。
-------------------------------------------------------------------------------
转 自  http://cs.phontol.com/20081017_330516.html

1. 不登录系统,直接输入登录后的页面的url是否可以访问
2. 不登录系统,直接输入下载文件的url是否可以下载,如输入http://url/download?name=file是否可以下载文件file
3. 退出登录后按后退按钮能否访问之前的页面
4. ID/密码验证方式中能否使用简单密码。如密码标准为6位以上,字母和数字混合,不能包含ID,连续的字母或数字不能超过n位
5. 重要信息(如密码,身份证号码,信用卡号等)在输入或查询时是否用明文显示;在浏览器地址栏里输入命令javascrīpt:alert(doucument.cookie)时是否有重要信息;在html源码中能否看到重要信息
6. 手动更改URL中的参数值能否访问没有权限访问的页面。如普通用户对应的url中的参数为l=e,高级用户对应的url中的参数为l=s,以普通用户的身份登录系统后将url中的参数e改为s来访问本没有权限访问的页面
7. url里不可修改的参数是否可以被修改
8. 上传与服务器端语言(jsp、asp、php)一样扩展名的文件或exe等可执行文件后,确认在服务器端是否可直接运行
9. 注册用户时是否可以以'--,' or 1=1 --等做为用户名
10. 传送给服务器的参数(如查询关键字、url中的参数等)中包含特殊字符(','and 1=1 --,' and 1=0 --,'or 1=0 --)时是否可以正常处理
11. 执行新增操作时,在所有的输入框中输入脚本标签(&lt;scrīpt&gt;alert(&quot;&quot;)&lt;/scrīpt&gt;)后能否保存
12. 在url中输入下面的地址是否可以下载:http://url/download.jsp?file=C:\windows\system32\drivers\etc\hosts,http://url/download.jsp?file=/etc/passwd
13. 是否对session的有效期进行处理
14. 错误信息中是否含有sql语句、sql错误信息以及web服务器的绝对路径等
15. ID/密码验证方式中,同一个账号在不同的机器上不能同时登录
16. ID/密码验证方式中,连续数次输入错误密码后该账户是否被锁定
17. 新增或修改重要信息(密码、身份证号码、信用卡号等)时是否有自动完成功能(在form标签中使用autocomplete=off来关闭自动完成功能)


---------------------------------------------------------
通行账户:注册不区分大小写
登录会区分大小写


TAG:

 

评分:0

我来说两句

Open Toolbar